Detecção de Injeção de SQL via Logs de WAF

Quando Usar

• Ao investigar incidentes de segurança que exigem a detecção de injeção de SQL via logs de WAF
• Ao construir regras de detecção ou consultas de caça a ameaças para este domínio
• Quando analistas de SOC precisam de procedimentos estruturados para este tipo de análise
• Ao validar a cobertura de monitoramento de segurança para técnicas de ataque relacionadas

Pré-requisitos

• Familiaridade com conceitos e ferramentas de operações de segurança
• Acesso a um ambiente de teste ou laboratório para execução segura
• Python 3.8+ com as dependências necessárias instaladas
• Autorização apropriada para quaisquer atividades de teste

Instruções

1. Instale as dependências: pip install requests
2. Colete logs de WAF (log de auditoria ModSecurity, logs JSON do AWS WAF ou eventos de firewall do Cloudflare).
3. Execute o agente para analisar e processar:
   • Detecte payloads de SQLi via mais de 15 padrões regex
   • Classifique ataques por tipo de injeção OWASP (clássico, cego, baseado em tempo, baseado em UNION)
   • Identifique atacantes persistentes por agrupamento de IP
   • Correlacione campanhas de injeção com múltiplas requisições
   • Calcule a probabilidade de sucesso do ataque com base nos códigos de resposta

python scripts/agent.py --log-file /var/log/modsec_audit.log --format modsecurity --output sqli_report.json

Exemplos

Detecção de SQLi com ModSecurity

Rule 942100 triggered: SQL Injection Attack Detected via libinjection
URI: /api/users?id=1' UNION SELECT username,password FROM users--
Source IP: 203.0.113.42 (47 requests in 5 minutes)
Classification: UNION-based SQLi campaign